Les vulnérabilités de ce qui tourne vraiment.

AWS Inspector remonte des centaines de CVE, dont la plupart concernent des images ECR qui ne tournent plus. Pathos garde celles des images réellement déployées sur ECS, EKS ou Lambda, montre ce qui est nouveau depuis le dernier scan et transforme le reste en un triage que votre équipe peut terminer.

Déployer Pathos Parler à Apalala
  • Auto-hébergé, une image Docker
  • Gratuit, y compris en production
  • Accès AWS en lecture seule
Scan · eu-west-3Données d'illustration
  1. Constats remontés par Inspector1 284
  2. Sur des images utilisées (ECS, EKS, Lambda)312
  3. Nouveaux depuis le scan précédent9
  4. Dette : encore à trier ou à mitiger41
Les 271 autres sont atténués, faux positifs, non exploitables ou acceptés.

Trois questions, une réponse après chaque scan

Pathos lit les constats d'AWS Inspector, et de Microsoft Defender si vous l'utilisez, puis garde l'historique de chaque décision. Chaque vue répond à une question qu'une équipe sécurité se pose chaque semaine.

Quelles CVE touchent ce qui tourne réellement ?

Une image compte quand Inspector la voit tourner sur ECS ou EKS, ou quand une fonction Lambda l'exécute, ce qu'Inspector ne compte pas et que Pathos résout lui-même. Vous pouvez aussi tout importer.

  • Une ligne par image déployée, avec l'artéfact qui porte chaque paquet : war, jar, binaire, paquet OS.
  • Chaque paquet rangé dans une couche, OS, conteneur ou application, pour confier chaque constat à l'équipe qui peut le corriger.
  • Rapport d'image imprimable et exports CSV protégés contre l'injection de formules.
ImagesDonnées d'illustration
ImageTourne surCoucheOuvertes
orders-api:4.12ECS · 6 tâchesapplication14
billing-web:2.3EKS · 3 podsconteneur9
lambda/invoice-pdfLambda · alias prodOS5
orders-api:3.9non déployée—

Lesquelles sont nouvelles depuis le dernier scan ?

Le différentiel compare les deux derniers scans réussis de même région et même périmètre : nouvelles, disparues, variation d'usage. Les scans sont planifiés, rattrapés au démarrage ou lancés à la demande.

  • Les nouvelles critiques ressortent le lendemain d'un déploiement.
  • Les constats qui disparaissent montrent ce qu'une mise à jour a vraiment corrigé.
DifférentielDonnées d'illustration
Nouvelles9
Disparues23
Usage modifié4
  • +CVE-2026-1043 openssl · billing-web:2.3Critique
  • +CVE-2026-0871 netty-codec · orders-api:4.12Haute
  • −CVE-2025-4417 libxml2 · corrigée par l'image de baseMoyenne

Combien en reste-t-il à trier ?

La dette compte ce qui reste à trier ou à mitiger ; le reste est atténué, faux positif, non exploitable ou accepté. Une file de triage rapide la classe par urgence, et chaque décision garde son auteur, sa date et sa justification.

  • Indicateurs du tableau de bord avec cibles, par sévérité ou étiquette, aussi servis par GET /api/v1/kpis.
  • Rapport de traitement de toutes les décisions d'une période, imprimable en PDF pour vos auditeurs.
DetteDonnées d'illustration
À trier ou à mitiger41
CVESévéritéStatut
CVE-2026-1043 nouvelleCritiquenon triée
CVE-2026-0871Hauteà mitiger
CVE-2025-3392Hautenon exploitable

Une preuve avant chaque décision

Une CVE dans une librairie ne dit rien de votre exposition tant qu'on ignore si votre code appelle la fonction vulnérable. Pathos va voir, et montre ce qu'il a trouvé.

CVE-2026-0871Données d'illustration
Pathos propose À mitiger
90 %confiance
Image
orders-api:4.12, ECS
Paquet
netty-codec 4.1.94 dans /app/app.jar/BOOT-INF/lib/
Couche
application
Cherché
fonction vulnérable HttpObjectDecoder.decode, bytecode du jar embarqué
Trouvé
appelée depuis OrderGateway.java:88
lambda/invoice-pdf : librairie embarquée, utilisée par aucune classenon exploitable · 85 %

L'usage dans votre code source

Reliez chaque dépôt ECR à son projet SonarQube, GitLab ou Gitea. Pathos lit le code et l'analyse avec ast-grep : fonction appelée, appel possible, importée, déclarée non importée, absente. Chaque occurrence renvoie à la ligne.

L'usage dans vos binaires

Quand la librairie se trouve dans une archive Java, Pathos ne télécharge que la couche d'image qui la contient et lit le bytecode de chaque classe : quelles classes l'utilisent, quels membres elles appellent, à quelle ligne.

Un pré-traitement vérifiable

Des règles, pas un modèle de langage, transforment ces preuves en une proposition avec un taux de confiance. Au-delà du seuil que vous fixez, la proposition devient la décision, signée par Pathos. Une décision humaine n'est jamais remplacée.

Un seul endroit pour tous les constats

Inspector est le point de départ. Pathos réunit les autres sources de votre parc dans le même triage, et s'adapte à l'organisation de votre entreprise.

Microsoft Defender
Import en lecture seule des machines (Defender Vulnerability Management) et des images de conteneur (Defender for Cloud), avec un périmètre par groupes, étiquettes et motifs de nom.
SBOM depuis votre CI
Une étape de pipeline envoie le SBOM CycloneDX de ce qu'elle a construit ; Pathos en garde l'historique et vérifie les composants sur OSV.dev.
Machines
Serveurs trouvés sur les réseaux privés ou déclarés à la main, lus en SSH sans jamais rien écrire : OS, paquets, conteneurs, vérifiés par Trivy ou OSV.dev.
Plusieurs organisations
Clients ou filiales dans une même instance, séparés par la sécurité au niveau des lignes de PostgreSQL, chacun avec ses membres, profils et entités.
Votre annuaire
LDAP ou Active Directory et OIDC (Keycloak, Entra ID), les groupes donnant les profils à chaque connexion.
API et exports
Jetons d'API à portées, description OpenAPI 3.1, exports CSV et JSON du triage.

Conçu comme doit l'être un outil de sécurité

Pathos détient vos données de vulnérabilités et des accès à votre cloud. Il tourne sur votre infrastructure, et rien n'en sort sans votre accord.

ConteneurDistroless, sans shell, utilisateur 65532, système de fichiers en lecture seule, aucune capacité, no-new-privileges, environ 66 Mo.
Accès cloudLecture seule : inspector2:ListFindings, plus les droits de liste Lambda et ECS. Connexion IAM Identity Center depuis l'interface, sans CLI AWS.
ComptesMots de passe Argon2id, sessions côté serveur, cookies HttpOnly et SameSite=Strict, jeton CSRF sur chaque modification, limitation des tentatives de connexion.
Secrets au reposChiffrés en XChaCha20-Poly1305 avec la clé d'instance, jamais renvoyés par l'interface ni l'API.
Journal d'auditChaque connexion, page, appel d'API, modification et refus, chaînés et signés en Ed25519 ; une ligne modifiée, supprimée ou insérée est signalée par son numéro.
NavigateurContent Security Policy stricte sans script ni style inline, frame-ancestors 'none', HSTS derrière HTTPS.
Appels sortantsLes recherches d'avis n'envoient que des identifiants de CVE ; la vérification des mises à jour ne lit que des noms de tags. Les deux se désactivent. Le rapport de diagnostic n'est jamais envoyé automatiquement.

En service en quelques minutes

Il faut Docker Engine avec le plugin docker compose et un accès sortant à ghcr.io. L'image est publique : aucun compte, aucun docker login. Elle contient ses propres fichiers de déploiement.

  1. Récupérer les fichiers de déploiement

    $ mkdir pathos && cd pathos
$ docker run --rm ghcr.io/apalala-sprl/pathos:2.0.4 compose     > docker-compose.yml
$ docker run --rm ghcr.io/apalala-sprl/pathos:2.0.4 env-example > .env
$ docker run --rm ghcr.io/apalala-sprl/pathos:2.0.4 gen-key > db-password && chmod 644 db-password

  2. Compléter .env

    Renseignez au minimum PATHOS_SECRET_KEY (avec gen-key), PATHOS_ADMIN_PASSWORD et votre accès AWS : IAM Identity Center, clés STS temporaires, ou la chaîne standard du conteneur (rôle de tâche ECS, rôle d'instance EC2, web identity EKS).

  3. Démarrer

    $ docker compose pull
$ docker compose up -d
$ docker compose ps   # « healthy » après environ 15 s

    L'interface écoute sur 127.0.0.1:8090. Pour un accès réseau, placez-la derrière un reverse proxy TLS et définissez PATHOS_PUBLIC_URL.

Derrière un proxy d'entreprise, définissez HTTPS_PROXY et montez votre autorité avec PATHOS_EXTRA_CA_FILE. Depuis Pathos 1.x, l'image fournit aussi le passage à PostgreSQL en une commande, qui garde l'ancienne installation à côté de la nouvelle.

Gratuit, et accompagné quand il le faut

Pathos est édité par Apalala, société belge de logiciels. Utilisez-le en autonomie, ou confiez-nous sa mise en place et son suivi.

Pathos

Gratuit

  • Toutes les fonctionnalités, en entreprise et en production
  • Image publique, sans compte ni clé de licence
  • Nouvelles versions signalées aux administrateurs dans l'interface
Déployer Pathos Distribué sous la PolyForm Shield License 1.0.0 : interdit de s'en servir pour proposer un produit ou service concurrent d'Apalala.

Services Apalala

Sur devis

  • Installation sur votre infrastructure
  • Configuration des accès AWS, de Defender, des sources de code et des annuaires
  • Support par notre helpdesk
  • Accompagnement de votre équipe au triage
Demander un devis Écrivez à info@apalala.be ou ouvrez un ticket sur helpdesk.apalala.be.